避免成為個資法刀下亡魂 可從國際標準取得護身符

from : http://news.networkmagazine.com.tw/security/2011/05/13/24328/

魏君頤/作

ASUS WebStorage獲得ISO27001認證，圖中從左至右分別為吳漢章博士、ASUS伺服器事業部總經理林維綱與高毅民博士。
個資法實行在即，而對於雲端服務廠商來說，資訊安全如何管控勢必也成為首要且必要的考量因素之一。英國標準協會(BSi)總經理高毅民博士則建議，不妨先依據相關國際標準進行衡量，來決定需建立哪些必要的資安防護機制；例如ISO27001資訊安全管理系統驗證，其涵蓋範圍包含建立網路安全管理機制、資訊流通監視機制、網路存取控制等等。

他更進一步表示，政府對於資安的要求只會日益嚴格，因此也有越來越多的企業與廠商主動要求，而目前以金融業與保險業佔大多數；像是元富證券與群益證券就已取得ISO 27001認證。

日前全球聯迅(ASUS WebStorage)也宣布通過ISO27001認證，「我們是在今年1月就拿到驗證，而當初會想獲得認證是希望能確保WebStorage有良好的品管系統，以對使用者負責。」全球聯訊總經理吳漢章博士更進一步說明，「因為ASUS WebStorage是採取月費租賃的服務模式，與其它雲端服務廠商定位不同，以Google來說，其所負責的主要對象反而是廣告商而非使用者。」

該公司是從去年就開始就在進行著手導入ISO27001，導入前的教育訓練大約花費3個月，而導入過程僅耗費6個月，其實陣痛期算是相當短。對此，全球聯訊系統處副總經理朱世宗認為主要原因是在於，ISO27001所要求的資安政策與驗證系統，雖然與原有的維運系統必然會有所出入，但差異不算大。而系統中的應用程式雖然種類繁多，但型態單純，都是以自家開發的軟體為主，也省去了導入過程中不少的麻煩。

此外，朱世宗更表示，傳統的資安管理都缺乏明確的職權分責管理機制，以往來說，執行者通常同時也扮演監督者的角色，透過導入ISO27001的過程中，也讓我們能夠重新檢視資安政策。

而相較認證中所規定的半年就必須定期進行稽核，該公司選擇縮短間隔時程，3個月即會定期進行內、外部整體資安稽核。